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l derecho a la privacidad esla pro- 
tección de la esfera íntima y reservada 
dela persona, quien no puede ser obje- 
to de injerencias o ataques arbitrarios, 
así es reconocido en la Declaración 
Universal de Derechos Humanos y en 
diversos acuerdos internacionales y le- 
yes nacionales. La privacidad no es lo 
que era, particularmente desde que las 
redes sociales juegan un papel prota- 
gónico en las relaciones humanas y en 
la comunicación, lo que torna difuso el 
límite entre lo público y lo privado. En 
este artículo planteo tres desafíos para 
la privacidad en la era digital. 

El primer desafío es que el marco 
regulador -nuestras normas- logre 
acompasar las nuevas tecnologías. 

Como consecuencia de lo antedi- 
cho, se vuelve fundamental sensibilizar 
a los usuarios sobre los contratos de 
adhesión que consienten para utilizar 
las aplicaciones gratuitas, el volumen 
de información personal que compar- 
ten en línea, la accesibilidad que otros 
tienen a ella y cómo esa información 
puede ser utilizada por terceros. 

Lo cierto es que ese flujo de infor- 
mación, en particular los datos per- 
sonales, se convirtió en un activo con 
valor económico. Esto lleva al segundo 


desafío de la privacidad, que es la re- 
tención de datos personales en manos 
de actores públicos y privados. 

La Ley N* 18.331 sobre protección 
de datos personales y habeas data es- 
tablece que las bases de datos, tanto 
de titularidad pública como privada, 
deben ser registradas. Incluso, ante un 
incumplimiento, la Unidad Reguladora 
de Datos Personales podrá aplicar me- 
didas sancionatorias alos responsables 
de las bases. 

Además, prevé la acción de habeas 
data, que reconoce el derecho de las 
personas a entablar una acción judicial 
para tomar conocimiento de los datos 
existentes sobre ellas y de la finalidad 
y uso de esa información, tanto en ba- 
ses de datos públicas o privadas. Como 
también en caso de error, falsedad, pro- 
hibición de tratamiento, discrimina- 
ción o desactualización se podrá exigir 
la rectificación, inclusión, supresión o 
lo que corresponda. 

Si bien esta norma vino a dar pro- 
tección y garantía a esta nueva arista 
de la privacidad, nada dice respecto del 
derecho de las personas a saber, espe- 
cíficamente, quiénes han accedido a 
sus datos, cuándo y por qué. 

Un caso que pone de manifiesto 
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. Hay mucho escrito sobre trata- 
miento automático de datos, apren- 
dizaje automático y grandes datos. 
Resulta difícil no dejarse deslum- 
brar por los avances técnicos. 

2. Lo másimportante es entender que 
un cambio cuantitativo (más poder 
de cómputo, más cantidad de datos 
de entrenamiento) generó un cam- 
bio cualitativo. 

3. Laimportancia de este cambio cua- 
litativo es enorme, porque echó por 
tierra nuestra intuición de qué era 
imposible de resolver por medio de 
la informática. Es decir, muchas co- 
sas que pensábamos que requerían 
atención humana, pasaron a ser au- 
tomatizables; es, en cierta medida, 
similar a la revolución industrial, 
pero más grande. 

A. La razón fundamental es que pen- 
sábamos que resolver un problema 
implicaba comprenderlo. El apren- 
dizaje automático demostró que no 
es preciso entender, sino que “basta” 
con entrenar una descripción esta- 
dística ciega, que reacciona a patro- 
nes subyacentes en los datos. 


5. Esto, claro, precisa muchísimos 
datos y de gran poder de cómputo, 
para poder procesar esos datos. 

6. Entonces aquí aparecen -entre mu- 
chos otros- tres terrenos importan- 
tes de discusión. En primer lugar, 
¿Qué pasa con el trabajo humano? 
Siahora haymuchas cosas queya no 
requieren atención humana, ¿qué 
pasa con la economía que depen- 
de de esa atención (que, además, 
se ramifica de una forma difícil de 
apreciar)? Por ejemplo, si tenemos 
autos que se manejan solos, enton- 
ces yano es preciso tener restauran- 
tes u hoteles de alta rotatividad en 
la carretera. 

En segundo lugar, esta conver- 
sación, sin embargo, no es técnica. 
Es decir, no existe una conversación 
que sea técnica y no política. Eso es 
una falacia postmoderna que quiere 
convencer a quienes sufren la des- 
igualdad de que hay un orden natu- 
ral. El capitalismo (o el feudalismo, 
o cualquier orden social) son órde- 
nes artificiales y, por definición, at- 
bitrarios (más allá del orden moral 


este desamparo de la legislación es el 
de las empresas dueñas de las bases de 
datos comerciales y crediticias. Estas 
poseen información sobre la solvencia 
patrimonial o crediticia de las perso- 
nas, y si bien la norma citada estipula 
la posibilidad de entablar la acción de 
habeas data, no regula la posibilidad 
de saber qué empresas clientes o ter- 
ceros consultan esos datos, cómo son 
tratados, quién tiene acceso alos datos 
consultados dentro de esas empresas 
y, en caso de que los almacenen, cómo 
lo hacen, dónde y por cuánto tiempo. 

Por último, el tercer desafío para 
la privacidad es la vigilancia masiva 
de las comunicaciones. Esta puede ser 
entendida como la interceptación de 
las comunicaciones privadas de una 
persona por medio de herramientas 
tecnológicas y puede abarcar el telé- 
fono, el correo electrónico, el tráfico de 
internet o los metadatos. 

Desde que en 2013 se filtró por la 
prensa la compra secreta del software 
de vigilancia El Guardián, no es una 
novedad el uso de este tipo de meca- 
nismos para la recolección masiva de 
datos en pos de la seguridad y la lucha 
contra el crimen organizado. El caso de 
El Guardián, sin embargo, debe ser ma- 


que se use para evaluarlos, y más 
allá de cuán de acuerdo esté uno o 
no). Por ejemplo, disponemos de la 
tecnología para tener autos que no 
contaminan, pero seguimos usando 
autos que contaminan en gran can- 
tidad. La decisión de usar autos que 
no contaminan es económico-polí- 
tica, y no técnica. O, vale decir, que 
no hay soluciones técnicas que no 
sean políticas. O, en realidad, no hay 
decisiones que no sean políticas. 

Incluso si no cuestionamos el 
gran orden (social) de las cosas, 
la asunción de que las decisiones 
algorítmicas son ungidas desde 
una cierta objetividad es un deli- 
rio. Como se dijo, estos sistemas 
son “entrenados” con conjuntos 
de datos que provienen de nuestra 
sociedad y que no sólo reflejan las 
condiciones de desigualdad estruc- 
tural, sino que, además, son inter- 
pretados, utilizados, y manipula- 
dos, desde un entendimiento del 
mundo, que cristaliza los órdenes 
sociales imperantes (es decir, que 
reedita las condiciones de desigual- 
dad estructural). Ejemplos de esto 
hay en abundancia, por ejemplo, 
predictores de crimen que castigan 
a determinados grupos de personas 
o determinados barrios. 

Por último, esta automatización, 
además de introducir nuevos, exa- 
gera problemas que ya existen en 
nuestra sociedad (el “efecto red” o 
el “filtro burbuja” son claros ejem- 
plo). Es interesante como el ser 
evaluado por un humano pasa a 
ser, cada vez más, un privilegio de 
las clases dominantes, y las clases 
bajas pasan a ser procesadas de 
forma automática. Lo increíble es 


la diaria 


tizado, pues su capacidad es limitada 
a diferencia de los softwares utilizados 
en otros países. 

El uso de estas nuevas tecnologías 
trae consigo la necesidad de adecuar 
el marco regulatorio para garanti- 
zar el derecho a la privacidad de las 
personas y a la confidencialidad de 
sus comunicaciones. 

En los desafíos planteados no es 
fácil encontrar un balance entre la pri- 
vacidad y los usos de la información 
personal cuando alguien es objeto de 
vigilancia, sea por una entidad públi- 
ca O privada. Por un lado, en mate- 
ria de vigilancia existen una serie de 
medidas vinculadas a la rendición de 
cuentas del sistema, como el derecho 
de las personas a ser notificadas de 
que fueron vigiladas; la información 
periódica sobre el uso de herramien- 
tas tecnológicas de vigilancia de las 
comunicaciones; los posibles están- 
dares de publicación de información 
relacionados con estas prácticas; la 
regulación de los procedimientos de 
compra de estas herramientas; la po- 
sibilidad de auditar el funcionamiento 
de las herramientas de vigilancia con 
representantes de todoslos sectores de 
la sociedad y la necesidad de regular la 
vigilancia privada. A quién proporcio- 
namos nuestros datos voluntariamen- 
te a cambio de nuestra conveniencia, 
quién nos monitorea y qué grado de 
poder tienen las fuerzas de seguridad 
(de forma justificada) en este nue- 
vo escenario, requiere de una mejor 
discusión pública. » 


que la narrativa trata de convencer- 
nos de que eso es más justo. Otro 
aspecto, incluso si uno no quisiera 
discutir las injusticias del sistema 
capitalista, es que en la era de los 
grandes datos se genera una plus- 
valía 2.0. La tierra para el que la 
trabaja pasaría a ser los datos para 
quien los genera. Es decir, si hay un 
acuerdo económico en el que los 
datos son valiosos, entonces tiene 
que haber una contrapartida eco- 
nómica para quien los produce. Es 
como si fuéramos a un productor 
de naranjas y le dijéramos: “Tus 
naranjas no tienen valor, dámelas 
gratis y luego las vendemos por mi- 
llones de dólares”. En un gobierno 
de izquierda hay que generar la 
normativa y la inercia social para 
que se sistematice la generación 
de contextos de intercambio eco- 
nómico más justos. Uruguay no 
parece estar apuntando para ese 
lado. Por ejemplo, el valor econó- 
mico de los datos almacenados por 
las operadoras de telefonía móvil 
no se discute. Tampoco se discute 
su propiedad, ¿por qué esos datos 
que son generados por los usuarios 
le pertenecen a la telefónica? Plus- 
valía 2.0. Lo mismo sucede con la 
tarjeta del Sistema de Transporte 
Metropolitano, aunque el caso más 
obsceno probablemente sea el del 
Clearing de Informes. 

7. Esnecesario plantear la discusión en 
estos términos, de otro modo, si la 
discusión sólo se estructura en fun- 
ción de un supuesto orden natural 
delas cosas (capitalismo), un estado 
de control (mal llamado “paternal”) y 
una deshumanización de los ciuda- 
danos, entonces estamos perdidos. » 
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n los últimos años nos hemos 
acostumbrado a encontrar en los 
medios menciones al big data y al 
aprendizaje automático. Estos tér- 
minos suelen usarse indiscrimina- 
damente para referir a técnicas y 
algoritmos que extraen información 
desde los datos. Pero ¿qué tipo de 
información se extrae? Típicamente 
se busca relacionar y clasificar in- 
dividuos, ya sean personas o cosas, 
según algunas de sus característi- 
cas, para luego predecir su com- 
portamiento. Netflix, por ejemplo, 
recomienda películas y series a sus 
usuarios, basándose en lo que otros 
usuarios similares prefieren. Parte 
del problema consiste en definir qué 
características se usan y cuáles son 
los criterios para medir la similitud 
entre dos usuarios, pero esta dis- 
cusión está más allá del objetivo de 
esta columna. 

Pero ¿cuál es el impacto que 
estas técnicas tienen en nuestras 
vidas? Cuando el sistema de reco- 
mendaciones de Netflix se equivoca, 
puede sugerirnos una serie que no 
nos gusta, pero ¿qué pasa cuando un 
software utilizado por el Poder Ju- 
dicial indica, incorrectamente, que 
los afrodescendientes tienen casi el 
doble de probabilidad de reincidir 
en crímenes que los blancos !? 

Los aspectos éticos detrás de las 
técnicas de análisis de datos no son 
nuevos. En áreas como la medicina 
Olas ciencias sociales, diferentes he- 
rramientas estadísticas son utiliza- 
das desde hace más de un siglo, y se 
conocen, por ejemplo, los riesgos de 
extraer conclusiones desde un con- 
junto sesgado de datos. Lo que sí es 
novedoso en nuestros tiempos es la 
masificación del uso de las técnicas 
de análisis de datos (auspiciada por 
la abundancia de datos existente), su 


aplicación en áreas como la educación, 
la seguridad pública, o la política, y el 
impacto que estas tienen en los proce- 
sos de toma de decisiones en ámbitos 
públicos y privados. 

Estos contextos de aplicación 
son inherentemente diferentes, y de- 
berían, por lo tanto, regirse por pre- 
misas diferentes. Una cosa es aplicar 
algoritmos para segmentar un mer- 
cado y vender más productos, y otra 
cosa es definir políticas públicas si- 
guiendo lógicas similares. En este se- 
gundo escenario se suele argumentar 
que estas técnicas permiten conocer 
mejor a las poblaciones objetivo, me- 
jorar la gestión de los recursos y, en 
consecuencia, contribuir al bienestar 
de la población, lo cual no es nece- 
sariamente cierto. Nuestro país no 
está libre de este tipo de iniciativas 
que anuncian con bombos y platillos 
las bondades del análisis de datos. A 
modo de ejemplo, el proyecto Edu- 
Data propone recopilar información 
para evaluar y predecir el desempe- 
ño de preescolares que asisten a los 
Centros de Atención a la Infancia y a 
la Familia?. Sin las precauciones ade- 
cuadas, estas herramientas pueden ser 
peligrosas y potenciar la desigualdad, 
como veremos a continuación. 

Ya en 2012 algunos autores ad- 
vertían sobre los riesgos del uso in- 
discriminado del análisis de datos y 
cuestionaban algunas de sus premi- 
sasó. En particular, quisiera destacar 
dos ideas centrales. Por un lado, la 
necesidad de derribar el mito de que 
la tecnología, y en particular estos pro- 
gramas, son neutrales y objetivos. En 
tanto artefactos creados por humanos, 
suelen estar contaminados por el sis- 
tema de creencias de quien los diseña 
o de quien interpreta los resultados. 
Por otro lado, la importancia de que 
las organizaciones que utilicen estas 


técnicas sean capaces de rendir cuen- 
tas acerca de por qué tomaron ciertas 
decisiones, y, en particular, qué datos 
y técnicas utilizaron. Retomando estas 
ideas, Julia Stoyanovich y otros inves- 
tigadores definen el uso responsable 
del análisis de datos en términos de 
tres conceptos: equidad, diversidad 
y transparencia!*. La equidad refiere 
a que el análisis deberá estar libre 
de sesgo, que puede provenir de los 
datos en sí, por ejemplo debido a los 
mecanismos usados para recabarlos, 
o de los algoritmos utilizados y la 
interpretación de los resultados, los 
cuales pueden reflejar las preferencias 
políticas, comerciales, sexuales, reli- 
giosas, etcétera, de sus desarrolladores 
y eventualmente resultar discrimina- 
torios. La diversidad refiere a que no 
basta con que los algoritmos retornen 
los resultados más populares, sino que 
también deben considerar resultados 
menos frecuentes que enriquezcan 
las opciones, ya que sin diversidad se 
corre el riesgo de excluir resultados 
menos populares (“los ricos son más 
ricos y los pobres son más pobres”). 
Por último, el concepto de transpa- 
rencia aplica, por un lado, a aspectos 
relacionados con la privacidad -que 
los usuarios puedan conocer qué da- 
tos se están recopilando sobre ellos y 
para qué están siendo utilizados, por 
ejemplo-, aunque también refiere a la 
posibilidad de verificar y auditar los al- 
goritmos para demostrar que respetan 
los principios de equidad, diversidad 
y privacidad. 

Algunas organizaciones y gobier- 
nos no son ajenos a estas preocupa- 
ciones. La Unión Europea, que es refe- 
rencia a escala mundial en normativa 
sobre protección de datos personales y 
en la cual se inspira la normativa uru- 
guaya, ha publicado recientemente 
un estudio que explora cómo aplicar 


técnicas de análisis de datos que pro- 
muevan el crecimiento económico y, 
además, consideren las dimensiones 
éticas de este análisis. En particular, 
se proponen acciones entre las que 
se destacan un marco general para el 
análisis ético de datos y su aplicación 
a datos de salud y educación*. 

En resumen, pese a estar fuerte- 
mente asistido por las máquinas, el 
análisis de datos es una actividad hu- 
mana y por tanto subjetiva y enmar- 
cada en un sistema de creencias. Es 
imprescindible desmitificarla, no creer 
en sus resultados como si fuese una 
cuestión de fe, y reglamentarla para 
ser capaces de transparentar el marco 
político e ideológico subyacente. » 


1 Angwin, J. y otros (2016). “There's software 
used across the country to predict future crimi- 
nals. And it's biased against blacks”. Machine 
Bias ProPublica. https://www.propublica.org/ 
article/machine-bias-risk-assessments-in-cri- 
minal-sentencing 
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njunio de 2017, el diario The New 
York Times informó que prominentes 
activistas y periodistas mexicanos fue- 
ron blanco de un software de vigilan- 
cia que supuestamente se vende en 
exclusiva a los gobiernos y sólo puede 
usarse contra objetivos muy específi- 
cos. Investigadores internacionales de 
la Comisión Interamericana de Dere- 
chos Humanos se enfrentaron a la vi- 
gilancia ilegal mientras investigaban la 
muerte de 43 estudiantes en el estado 
de Guerrero. 

A pesar de las revelaciones de Ed- 
ward Snowden, los debates sobre la 
privacidad se mantienen apagados en 
América Latina. 

Las ONG mexicanas Social Tic, 
RD3 y Article 19, con el apoyo de Citi- 
zen Lab de la Universidad de Toronto, 
expusieron estos incidentes. También 
participaron en Open Government 
Partnership, una alianza de gobiernos 
y organizaciones de la sociedad civil que 
impulsa reformas gubernamentales a 
través de varios mecanismos de diálogo. 
Para agregar complejidad a este asunto, 
algunos de los activistas espiados fue- 
ron los principales miembros de esta 
alianza. La situación entonces parece 
ser la siguiente: líderes de la sociedad 
civil que avanzaban en el diálogo con 
el gobierno mexicano y participaban en 
conversaciones de buena fe para cam- 
biar aspectos clave de la administración 
pública y la política fueron espiados por 
fuerzas de seguridad desconocidas. Sin 
duda, esta no es una forma de aumentar 
la confianza en un proceso de diálogo. 

Que la vigilancia ilegal es un pro- 
blema serio en muchos países latinoa- 
mericanos no es noticia, pero la escala 
y el enfoque de este acto en particular 
ponen en peligro un mecanismo que 
entregó algunas vías de reforma prome- 
tedoras en el caso mexicano, en particu- 
lar sus datos abiertos, la anticorrupción 
y las reformas sobre transparencia. 

En Uruguay, la última democracia 
plena en pie en América Latina -se- 
gún la Unidad de Inteligencia de The 
Economist-, también están surgiendo 
desafíos. El gobierno compró secreta- 
mente El Guardian, una aplicación que 
intercepta llamadas y redes sociales. Sin 
embargo, está poco claro cómo se usa 
o los protocolos operativos que sigue. 
También adquirió Predpol, una herra- 
mienta para potencialmente “anticipar 
crímenes”. Compró además un centro 
de vigilancia por 20 millones de dólares 
en la ciudad de Maldonado, instalando 
más de 2.000 cámaras en el área y co- 
brando a los residentes por este servi- 
cio, sin proporcionar información sobre 
los costos o procedimientos del centro. 

Hasta el momento no hay eviden- 
cia de que el gobierno uruguayo tenga 
software para ejecutar operaciones 
específicas como su homólogo mexi- 
cano, pero las autoridades uruguayas 
sí se reunieron con Hacking Team, una 
compañía de software italiana que ha 
vendido ilegalmente software de pira- 
tería a numerosos gobiernos en Améri- 
ca Latina. También hay una amplia evi- 
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dencia de que los militares espiaron a 
todos los partidos políticos uruguayos 
utilizando técnicas más tradicionales, 
desde el año 1985 al menos hasta 2007. 
En resumen, ni siquiera un país tan pe- 
queño y relativamente democrático es 
inmune a tales prácticas. 

Los ciudadanos están hoy sujetos 
a un grado de vigilancia sin preceden- 
tes, aunque a menudo en formas me- 
nos obvias. 

La situación actual es problemáti- 
ca. Por un lado, los gobiernos podrían 
necesitar de forma legítima nuevas he- 
rramientas para luchar contra los crí- 
menes, en especial contra el crimen ot- 
ganizado, que es un tema muy serio en 
América Latina. Alguna tecnología de 
vigilancia podría ayudar a estandarizar 
operaciones y procedimientos dentro 
de las fuerzas de seguridad e inteligen- 
cia, limitando así sus actividades. 

Por otro lado, los gobiernos pa- 
recen estar comprando este tipo de 
dispositivos sin ningún tipo de guía o 
marco para asegurar que se garanticen 
los derechos humanos y las libertades 
básicas de los ciudadanos. Dadas las 
tecnologías actuales disponibles para 
los organismos de seguridad, la libertad 
de expresión, la privacidad y laigualdad 
de trato por parte de las autoridades 
públicas podrían verse amenazadas. 

En Abrelatam-Condatos, el foro de 
datos abiertos más relevante de la re- 





gión, el relator especial para la Libertad 
de Expresión de la Comisión Interame- 
ricana de Derechos Humanos, Edison 
Lanza, remarcó la idea de que los go- 
biernos “no sean bifrontes” Es decir, 
que los mismos gobiernos que per- 
miten la colaboración, brindan datos 
abiertos y mejoran el gobierno abierto, 
también están llevando adelante ope- 
raciones dudosa y la compra secreta 
de nuevas herramientas tecnológicas. 

Hay cuestiones clave de política 
para abordar el tema de si las demo- 
cracias deben permanecer seguras 
en una era de tecnología de vigilancia 
agresiva. La seguridad tiene un costo, 
pero este costo puede ser irrazonable. 

Un marco claro debería considerar 
las cuestiones de necesidad y propor- 
cionalidad para adquirir y utilizar estas 
tecnologías, así como identificar qué 
agencias podrán explotarlas. El mismo 
marco debería requerir un conjunto de 
informes sobre el uso de estas tecnolo- 
gías, incluso si han utilizado a terceros 
(como las telecomunicaciones) para 
llevar a cabo sus operaciones. 

Las organizaciones de la sociedad 
civil que trabajan en estos temas rara 
vez tienen la capacidad o los recursos 
para tomar una posición y participar en 
los procesos de reforma. La vigilancia 
tiene una larga historia en América La- 
tina, pero esta nueva ola -cuyo software 
de espionaje es sólo la punta del ice- 


berg- es completamente distinta dada 
la naturaleza, escala y costo de estas 
tecnologías. Se necesita una sociedad 
civil comprometida y consciente de los 
desarrollos internacionales para garan- 
tizar un escrutinio y debate adecuados. 

Como Martin Lodge, profesor de 
Escuela de Economia y Ciencia Politica 
de Londres, ha argumentado persua- 
sivamente, existe la espinosa cuestión 
de la rendición de cuentas y el cum- 
plimiento. Los comités legislativos, las 
estrictas reglas de transparencia y los 
organismos internacionales son herra- 
mientas iniciales de política a consi- 
derar, pero pueden no ser suficientes 
para contrarrestar el uso indebido de 
algunas tecnologías en el contexto de 
las democracias frágiles. 

No está claro cuándo o cómo los 
latinoamericanos tendrán el tipo de 
conversación necesaria para despejar 
la neblina que rodea el estado actual de 
la vigilancia en la región, asícomo sobre 
cuestiones más generales acerca de la 
mejora de la privacidad en la era digital. 
Pero si tal conversación no tiene lugar, 
cualquier esfuerzo noble hacia un go- 
bierno abierto permanecerá manchado 
por la sombra oscura de la vigilancia. » 


Este texto fue tomado y adaptado de un 
texto original del mismo autor publicado 
en el blog LSE IDEAS. 
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esde hace algunos años varias 
herramientras tecnológicas están pre- 
sentes en los ámbitos educativos: des- 
de entornos virtuales de aprendizaje, 
hasta registro de asistencias, pasando 
por pruebas estandarizadas y espa- 
cios de trabajo colaborativo online. 
Muchas de estas tecnologías se basan 
en cloud computing o computación en 
la nube, es decir, un conjunto de in- 
fraestructuras técnicas para la gestión 
de plataformas y servicios en línea. En 
Uruguay, las tecnologías educativas en 
la nube están presentes en todos los 
niveles de la educación pública y pri- 
vada. En la investigación Privacidad 
y protección de datos en la educación 
pública uruguaya, un estudio sobre 
cloud computing en educación reali- 
zado en 2017 por Patricia Díaz y Ma- 
riana Fossatti de Datysoc, se analizan 
dos casos: el Plan Ceibal y el Programa 
de Entornos Virtuales de Aprendizaje 
(ProEVA-Udelar). 

De las tecnologías educativas en 
la nube surgen muchas posibilidades, 
pero también incertidumbres en cuan- 
to a la protección de datos de los estu- 
diantes. Por un lado, permiten el acce- 
so desde cualquier lugar y con distintos 
dispositivos a diversas herramientas 
para la educación. Sin embargo, este 
acceso está mediado por infraestruc- 
turas técnicas y centros de datos, los 
cuales pueden estar bajo el control o no 
de las instituciones educativas. 

Las tecnologías pueden recabar 
distinto tipo de información sobre los 
estudiantes: actividades, calificacio- 
nes, interacciones y hasta el tiempo 
en que están conectados a una plata- 
forma educativa. Con esta información 
es posible hacer un seguimiento para 
apoyar y mejorar el aprendizaje, para 
identificar a los estudiantes que nece- 
sitan mayor atención, o para evaluar la 
efectividad de las tecnologías aplica- 
das. Pero también surge la posibilidad 
de utilizar ese gran volumen de datos 
para propósitos distintos alos educati- 
vos. Por ejemplo, la explotación comer- 
cial que podrían realizar las empresas 
que procesan los datos. Por eso, no se 
puede confiar ciegamente en las solu- 
ciones tecnológicas, hay que analizar- 
las con una mirada crítica para evaluar 
sus implicancias legales y éticas. 

El marco legal que rige en Uruguay 
para el manejo de datos personales es 
la Ley No 18.331 de Protección de Datos 
Personales. Esta ley sigue estándares 
internacionales, pero es compleja de 
aplicar cuando los usuarios están en 
territorio nacional y los servicios en la 


nube enjurisdicciones extranjeras. Las 
instituciones educativas, como cual- 
quier entidad, tienen la obligación de 
recabar el consentimiento informado 
de los estudiantes para el tratamiento 
de sus datos, o el delos adultos respon- 
sables, si aquellos fueran menores. 

Estas complejidades están presen- 
tes en Ceibal, institución que tiene con- 
tratos con proveedores internacionales 
como Schoology (para la plataforma 
educativa CREA2) y Google (para cuen- 
tas de correo, acceso a Google Apps for 
Education y laptops Chromebook). Es- 
tos contratos cumplen con la ley, según 
el análisis de la Unidad Reguladora de 
Protección de Datos. Además, Ceibal 
cuenta con políticas de privacidad y 
herramientas para recabar el consen- 
timiento de los padres. Sin embargo, en 
los contratos con los proveedores per- 
sisten dudas sobre la forma en que son 
procesados los datos por las empresas, 
más allá del propósito educativo. Goo- 
gle, por ejemplo, no usa los datos de los 
estudiantes con fines publicitarios en 
sus productos educativos. Pero el con- 
trato con Ceibal tiene algunas indefini- 
ciones que hacen dudosala posibilidad 
de realizar auditorías o de establecer 
un control real del uso de los datos, y 
que permitirían (o al menos no prohí- 
ben claramente) usar la información 
para crear perfiles individualizados y 
mostrar publicidad a los estudiantes 
en los productos Google para el público 
general, como el buscador o YouTube. 

El programa ProEVA de Udelar ha 
construido una infraestructura tecno- 
lógica propia basada en software libre. 
Este camino a veces es más complejo 
que el de la contratación de servicios 
a terceros, pero la inversión en tecno- 
logías y el desarrollo de capacidades 
queda dentro de la institución. En el 
uso de esta infraestructura no hay 
transferencia internacional de datos 
de estudiantes, ni terceras partes in- 
volucradas en su procesamiento. No 
obstante, la Udelar no ha publicado 
una política de privacidad para sus 
entornos virtuales de aprendizaje (la 
cual está en proceso de elaboración 
y aprobación). Consideramos que, 
una vez que la Udelar disponibilice 
de forma expresa la política de priva- 
cidad de sus plataformas, constituirá 
un buen modelo de gobernanza de da- 
tos personales en el sector educativo, 
ya que la ubicación local del centro 
de datos y las caracterísitcas de suin- 
fraestructura habilitan un control real 
y mejoran las oportunidades de los 
estudiantes para defenderse. 

Los dos casos analizados tienen 
algunas buenas prácticas y otras más 
cuestionables o mejorables, lo que 
hace necesaria una reflexión crítica 
en torno a estas experiencias. Es im- 
portante que las autoridades de la edu- 
cación se asesoren y evalúen las tecno- 
logías usadas por miles de estudiantes 
de todo el país. También es necesario 


Privacidad y protección de datos 
en la tecnología educativa 


revisar el marco legal de protección de 
datos, basado en la ficción jurídica del 
consentimiento informado, que quizás 
noresponde adecuadamente al desafío 
del big data en educación. No se trata 
de optar entre el uso de tecnología en 
la educación y la privacidad de los es- 
tudiantes. Lo fundamental es estar al 
tanto de las discusiones contemporá- 
neas al respecto, buscando alternativas 
que contemplen al mismo tiempo el 
derecho a la educación y el derecho a 
la privacidad. m 
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unca está de más señalar que el 
término hacker es de los más malin- 
terpretados por el público general. En 
esencia, un hacker es una persona que 
cuenta con cierta habilidad y disfruta 
de resolver problemas y meter mano 
en las cosas para que funcionen de 
manera distinta a como fueron pro- 
gramadas. La idea de trabajar en equi- 
po y el libre acceso a la información 
son principios fundamentales. Poco 
tiene que ver con la forma general de 
usar el término como sinónimo de 
ciber-criminal. 

Los hackers promueven la cola- 
boración como uno de sus pilares. Es 
así que de esta subcultura surgió el 
movimiento del software libre. Este 
lucha por la libertad y la privacidad 
de los usuarios de computadoras, ale- 
gando que son estos quienes deberían 
tener el poder sobre la tecnología que 
manejan y no al revés. Varios de los 
programadores involucrados con el 
software libre podrían ser denomi- 
nados hackers. Trabajan “gratis” para 
que el código llegue a la comunidad 
en mejores condiciones o simplemen- 
te lo adaptan a distintas situaciones. 
Usan sistemas operativos libres como 
GNU/Linux, que no son llevados ade- 
lante únicamente por una empresa, 
sino por grupos de personas. 

La idea de compartir el código y 
mantener un proceso de desarrollo 
abierto y transparente fue rechazada 
y atacada fuertemente en un principio 
por las corporaciones, porque darle po- 
der al usuario va directamente en con- 
tra de sus intereses. Pero, como cual- 
quier revolución, fue tomando fuerza 
lentamente gracias a quienes partici- 
pan de ella. Eventualmente, el modelo 
de desarrollo abierto fue reconocido 
prácticamente como la mejor manera 
de desarrollar software. Corporacio- 
nes tradicionalmente cerradas a este 
tipo de trabajo empezaron a subirse al 
carro del desarrollo de código abierto, 
abriendo parte de su desarrollo a la co- 
munidad, pero ignorando la parte ética 
en la que se centra el movimiento de 
software libre. Para estas grandes cor- 
poraciones, el modelo de colaboración 
resulta más eficiente, pero sólo hasta 
donde les conviene. 

A medida que nuestras vidas se 
apoyan cada vez más en la tecnología, 
hay casos en los que prácticamente 
dependen de ella. Y si no prestamos 
atención a estos asuntos, como usua- 
rios perdemos el control de lo que po- 
demos hacer. 

No sólo se “hackea” el software, 
sino que existen activistas detrás de 
un movimiento que impulsa el “de- 
recho a reparar”. Las empresas hacen 
lobby con los legisladores para evitar 
la creación de leyes que permitan a 
los usuarios reparar tanto teléfonos 
móviles como tractores. Los trabaja- 
dores del campo y aficionados a las 
computadoras han estado reparan- 
do sus máquinas por años, con o sin 
manuales o repuestos originales. Con 
estas nuevas leyes, las empresas se 
verían obligadas a vender repuestos 





y generar manuales para reparar los 
productos que fabrican y venden. De 
esta manera se le daría poder al usua- 
rio final, algo que los hackers intentan 
hacer de todas formas. 

Un poco anarquistas, los hackers 
no confían en la autoridad. A diferencia 
de empresas y gobiernos, consideran la 
privacidad un derecho humano y así la 
defienden. Por lo tanto, luchan contra 
las prácticas de espionaje en las aplica- 
ciones que recaudan datos personales 
de los usuarios indiscriminadamente. 
También prefieren sistemas distribui- 
dos controlados por sus usuarios en vez 
de los silos centralizados de datos que 
son las redes sociales actuales. 

Estas alternativas no son tan po- 
pulares como las estándares de facto, 
que llevan inversiones millonarias por 
detrás. Pero existen y los hackers están 
trabajando en ellas. 


Los programadores trabajamos en 
las interacciones de las personas con 
las máquinas, cada vez más presentes 
en la sociedad. Tenemos una respon- 
sabilidad de hacer que el código que 
escribimos y la tecnología que creamos 
no sólo haga su trabajo, sino que respe- 
te los derechos de las personas. Cual- 
quier persona que se apropie de una 
tecnología o la intente modificar para 
que funcione a su gusto o la mejore es 
un potencial hacker. 

Las computadoras pueden ayudar- 
nos a hacer del mundo un lugar mejor. 
La alternativa es trabajar toda la vida 
para que hombres blancos con mucha 
plata tengan más plata. El mundo ne- 
cesita más aspirantes a Steve Wozniak 
y menos a Steve Job. u 


Aparicio Abella 
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xiste una enorme diversidad de 
comportamientos o tácticas para pro- 
tegerse en línea. Sin embargo, una y 
otra vez la predictibilidad de las con- 
traseñas es considerada uno de los as- 
pectos más críticos del problema sobre 
la ciber seguridad de los usuarios de in- 
ternet (Carstens, 2009; Ur y otros, 2016). 

Estudios recientes señalan algu- 
nas posibles aristas tras este fenóme- 
no. Wash y otros (2016) encontraron 
que la reutilización de las contrase- 
ñas -uno de los principales problemas 
asociados a su predictibilidad- se in- 
crementa con la complejidad de estas, 
así como en función de cuán frecuen- 
temente son utilizadas. 

Por otro lado, Ur y otros (2016) rea- 
lizaron experimentos en los que compa- 
raron las contraseñas que los usuarios 
creen que son seguras con su fortaleza 
real en base a la cantidad de intentos ne- 
cesarios para adivinarlas (en ataques de 
descifrado masivo o “de fuerza bruta”). 
Ur y otros (2015), utilizando una meto- 
dología más cualitativa, investigaron los 
procesos de creación de contraseñas. 
Ambos estudios encontraron que estos 
no son homogéneos entre los diferentes 
tipos de cuentas utilizadas (por ejemplo, 
bancos versus mails) y que varían de in- 
dividuo a individuo. 

En cuanto a posibles explicaciones 
acerca de las malas prácticas de crea- 
ción de contraseñas, Ur y otros (2015; 
2016) señalan la gran variación en la 
comprensión sobre cómo las contra- 
señas pueden ser atacadas. Ion y otros 
(2015) proponen que las percepciones 
problemáticas de los usuarios respecto 
de buenas prácticas de ciberseguridad 
se deben en gran parte a consejos de 
seguridad mal diseñados. 

Sucede que, generalmente, los 
consejos o campañas de ciberseguir- 
dad destinadas a usuarios de internet 
no contemplan los aspectos cognitivos 
y conductuales del comportamiento hu- 
mano (Ion y otros, 2015) ni las diferen- 
cias e inequidades entre los internautas 
(Dodel y Mesch, 2018). Por ejemplo, 
abocarse a restringir el uso de internet 
o de determinados sitios para reducir 
riesgos puede parecertentador, pero no 
sólo que los expertos en seguridad no la 
califican como una práctica efectiva (Ion 
y otros, 2015), sino que también es muy 
probable que limite el desarrollo y las 
oportunidades delos usuarios en la web. 

Sin embargo, existe una serie de 
buenas prácticas menos dañinas que 
podrían ser relativamente costo-efi- 
ciente para usuarios con algo de co- 
laboración de los desarrolladores. 
A modo de ejemplo, quisiera señalar 
dos propuestas interesantes. 

En primer lugar, aumentar la usa- 
bilidad de programas que requieren 
conocimientos más técnicos (gestiones 
de contraseña o sistema de doble au- 
tenticación, por ejemplo) al incrustar- 
los en los sistemas operativos o trans- 
formarlos en soluciones de instalación 
única/permanente como actualmente 
sucede con los antivirus. 


En segundo lugar, mejorar los 
contadores de fuerza de contraseñas 
parece crítico. En la actualidad estos 
señalan únicamente si los passwords 
son fuertes o débiles, pero los usuarios 
pueden no ser conscientes de los mo- 
tivos por los cuales la contraseña que 
ingresaron es predecible o débil (Ion y 
otros, 2015; Ur y otros, 2016). Más allá 
de si utilizan mayúsculas y caracteres 
especiales, otros aspectos como la 
inclusión de términos comunes (por 
ejemplo, dios o amor) o el ingreso de 
una cadena de caracteres predecible 
(por ejemplo, “123” “qwe” o “=?;”) no 
se ven reflejados en estos contadores. » 
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visto el crecimiento del ransomware (malwa- 
re para secuestro de datos). Lamentablemen- 
te, el pronóstico para 2018 no es mucho más 
alentador: se esperan muchos más ataques 
enfocados en celulares y tablets personales 
que en dispositivos corporativos, como su- 
cedió el año pasado. 

Existe además un alto crecimiento en la 
adopción de dispositivos hogareños (Inter- 
net of things, en inglés) que también serán 
un objetivo fácil para los atacantes. Cuando 
hablamos de atacantes, nos referimos a de- 
lincuentes que se aprovechan de la tecnolo- 
gía. La Real Academia Española, a finales de 
2017, aceptó finalmente la palabra hacker con 
su verdadero significado: “experto en siste- 
mas de seguridad y computación” en lugar 
del mal utilizado “pirata informático”, como 
había sido definida en 2014, cuando ingresó 
como palabra a dicha academia. 

¿Cómo los ciudadanos podemos prote- 
gernos ante estas amenazas? Si bien la tec- 
nología avanza, los dispositivos evolucionan 
y su uso también, los cuidados mínimos son 
relativamente simples: 

1. No cliquear en links no esperados. 

2. No descargar aplicaciones de sitios de 
dudosa reputación. 

3. No formar parte de cadenas de correos. 

4. No creer en las estafas propuestas en 
internet (boleto de lotería, fortunas 
familiares, estafa nigeriana, etcétera). 

5. Si es gratis, el producto somos nosotros. 

Este último punto nos lleva a pensar tam- 
bién en cómo debemos cuidar nuestra privaci- 
dad en internet. Las redes sociales han creado 
un ambiente donde se ha perdido, en cierta 
forma, la privacidad, y muchas veces se ex- 
pone información innecesaria, como la fecha 
de nuestras vacaciones, nuestros horarios ha- 
bituales, la cantidad de personas que habitan 
en una casa, el posicionamiento por GPS en 
las fotografías, la ubicación actual, entre otros 
aspectos que terminan vulnerando la priva- 
cidad. Es hora de tomar conciencia y tener 
precauciones, como se hace fuera del mundo 
cibernético. En cuanto a los niños, lo funda- 
mental es extender hacia internetlos cuidados 
y enseñanzas de no hablar con desconocidos, 
no brindar información y cuidar la intimidad. 

Pasando al ámbito de organizaciones y 
empresas, será un año de cambios sustan- 
ciales en aspectos de ciberseguridad. Esta 
dejará de ser una opción y de tomarse como 
un seguro frente a potenciales riesgos, ya que 
será casi obligatorio contar con medidas de 
seguridad contra ataques cibernéticos; por 
lo tanto, se recomienda generar simulacros 
de incidentes, definir cómo se actuará frente 
a una crisis que impacte en el negocio y pla- 
nificar su recuperación. 

El pronóstico para 2018 es que los ataques 
serán del tipo fileless, es decir, no necesitarán 
que un usuario ejecute un archivo, sino que se 
aprovecharán de las vulnerabilidades de los 
sistemas para acceder a las organizaciones. 

Sumado a esto, las técnicas de inteli- 
gencia artificial y machine learning em- 
piezan a incorporarse a las técnicas de los 
atacantes, generando una gran desventaja 
para las organizaciones que no cuentan con 
protección adecuada. Porlo tanto, se hacen 
necesarias soluciones que analicen y gene- 
ren perfiles de los atacantes y que puedan 
tomar decisiones inteligentes a la hora de 
lograr defensas efectivas. » 
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E Es lo mismo que ser un delin- 
cuente común? ¿Cómo debería regu- 
larse el fenómeno del ciber-delito si 
es que tal cosa existe? ¿Es lo mismo 
organizar una protesta en línea que 
atacar los servidores de una planta 
de energía? ¿Y puede esta regulación 
actuar en contra de la innovación? 
En un momento crucial para el cre- 
cimiento de Uruguay en el desarrollo 
de las TIC y la conversión del país en 
un polo tecnológico en la región, la 
tipificación sobre los delitos informá- 
ticos resurge constantemente, más 
aún teniendo en cuenta la puesta en 
funcionamiento de la reforma del Có- 
digo de Proceso Penal y, en un futuro, 
del Código Penal. 


¿Dónde estamos? 

Uruguay lidera en múltiples rankings 
de gobierno electrónico a nivel glo- 
bal. Sin embargo, hay un área donde 
desde hace ya unos años se señala 
un debe: los delitos informáticos. Por 
ejemplo, elinforme “Ciberseguridad: 
¿estamos preparados en América 
Latina y el Caribe?” elaborado con- 
juntamente por la Organización de 
los Estados Americanos y el Banco 
Interamericano de Desarrollo, sitúa 
a Uruguay por debajo del nivel “for- 
mativo” de madurez en delincuencia 
cibernética, investigación jurídica y 
divulgación responsable de informa- 
ción, muy por debajo de su promedio 
general en el índice. Si bien existen 
algunos delitos que pueden ser consi- 
derados como “informáticos” estos se 
encuentran desperdigados en varias 
normas y siempre se señala desde el 
exterior la falta de esa preciada Ley 
de Delitos Informáticos. Pese a que 
el Parlamento ha estudiado diversos 
proyectos provenientes del Poder 
Ejecutivo y de los legisladores de la 
oposición, ninguno logró prosperar 
en su camino. 


¿Hacia dónde se quiere ir? 

Uno de los principales problemas 
que enfrentan los proyectos presen- 
tados es que se basan en soluciones 
extranjeras, que pueden haber ser- 
vido para la realidad de otros países 
pero no necesariamente sirvan para 
el nuestro. Sin embargo, resulta difícil 
conocer exactamente cuál es nues- 
tra realidad cuando no existen cifras 
oficiales sobre el tema, ni se han rea- 
lizado estudios criminológicos que 
permitan identificar las característi- 
cas de autores y víctimas de este tipo 
de conductas. 

De esta forma, la preocupación 
por legislar lleva a buscar a tientas 
en el derecho penal soluciones, co- 
locando la carreta por delante de los 
bueyes. El derecho penal es la última 


herramienta disponible, que sólo ac- 
túa cuando los demás mecanismos 
de prevención social han fallado. Pre- 
tender encontrar en él las soluciones 
es el primero de los problemas a re- 
solver. La industria de la seguridad es 
generalmente reticente a revelar qué 
tipo de incidentes y qué daños se han 
causado, e irónicamente ese secretis- 
mo es el que termina poniendo más 
en riesgo a todo el sistema. 

Por ejemplo, una mala técnica le- 
gislativa puede llegar a criminalizar 
conductas legítimas y especialmente 
protegidas como pueden serlas paro- 
dias en redes sociales o el hackeo de 
sombrero gris, aquel que tiene como 
fin comprobar vulnerabilidades de 
un sistema y reportarlas para su solu- 
ción. El ya conocido caso del hackeo 
al Sistema de Transporte Metropoli- 
tano o el potencial reporte de vulne- 
rabilidad de una aplicación bancaria, 
podrían ser considerados delitos, 
cuando en realidad son formas de 
poner en alerta alos administradores 
de estos sistemas, sin generar daños. 
Una mala regulación puede poner 
en riesgo la seguridad de todas las 
partes. Por otro lado, ninguno de los 
proyectos menciona la divulgación 
responsable de información, los fa- 
mosos whistleblowers, lo que podría 
llevar a mejores prácticas de transpa- 
rencia, sin miedo a represiones o re- 
vanchismos. Y tampoco los proyectos 
refieren a protocolos acerca de cómo 
llevar adelante denuncias. 
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Próxima estación: ¿Budapest? 
El Convenio de Cibercrimen del Con- 
sejo de Europa, conocido como Conve- 
nio de Budapest, esla referencia a nivel 
global para la persecución de este tipo 
de delitos. Sumarse a Budapest no sig- 
nifica trasladar automáticamente un 
conjunto de normas rígidas que no 
puedan ser modificadas. Dentro de 
cada uno delos tipos penales, la redac- 
ción de Budapest otorga un margen de 
elección alos legisladores de cada país, 
de forma tal que la norma se vuelve 
más o menos punitiva, es decir, más o 
menos gente adentro de la cárcel. 
Por otra parte, el Convenio de 
Budapest no sólo incluye delitos, sino 
también normas procesales, las más 
discutidas dentro del Convenio. Un 
desbalance a favor de la seguridad por 
sobre las garantías de los ciudadanos 
esen donde los países han puesto más 
reservas a la hora de ratificar. ¿Pueden 
o deben los gobiernos grabar todas sus 
actividades en línea? Y de ser así, ¿cuán- 
do? ¿Qué límites tienen? La injerencia 
de terceros países dentro de prácticas 
locales, que pueden perjudicar dere- 
chos como la privacidad, resulta una 
discusión que aún estamos muy lejos 
de dar si pretendemos continuar por 
este camino. Por otro lado, Budapest 
fue pensado para un mundo anterior 
alas revelaciones de Edward Snowden 
y la compra por parte de varios gobier- 
nos de herramientas de espionaje, así 
como para un mundo donde el tráfico 
de datos personales transfronterizos 
era mera especulación. 
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Reflexiones para el camino 

Hasta ahora, los proyectos presenta- 
dos enfocan sus baterías en la crimi- 
nalización de conductas cometidas 
a través de internet o contra algún 
sistema informático, o bien plantean 
trasladar las normas de Budapest au- 
tomáticamente, sin coherencia con 
nuestro ordenamiento jurídico. La 
adhesión al Convenio de Cibercri- 
men debe ser una decisión estudia- 
da, evaluando individualmente cada 
una de las normas, evitando la adop- 
ción en bloque sólo para cumplir con 
listas internacionales. 

Tal vez la regulación debería ser 
encarada desde una perspectiva más 
amplia, que contemple derechos hu- 
manos, y no desde la prohibición, me- 
nos aún una prohibición de tipo penal. 
Brasil ha abierto el camino a través de 
su Marco Civil de Derechos Digitales, 
una especie de Constitución en la que 
Gobierno, Técnicos y Sociedad Civil 
sentaron las bases sobre las que se 
apoyará la regulación de las redes en 
ese país. Dicho de otra forma, en lugar 
de pensar en las patologías y conduc- 
tas posiblemente ilegales (que las hay) 
uno podría comenzar a discutir los de- 
rechos y cómo protegerlos en línea, na- 
turalmente utilizando el derecho penal 
y la evidencia disponible para generar 
regulación que pueda cumplirse. » 
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